CVE-2026-103923

Nome do Software Vulnerável e Versões Afetadas KaTeX versões 0.11.0 até 0.18.1

Descrição O KaTeX utiliza o acesso comum a propriedades do JavaScript para o objeto de opções do renderizador, a configuração de confiança, metadados de configuração padrão e do processador, e a pesquisa de namespace e restauração de grupo. Isso permite que propriedades herdadas sejam tratadas como valores fornecidos explicitamente. Se o Object.prototype estiver poluído ou se um invasor controlar o protótipo do objeto de opções, expressões matemáticas controladas por invasores podem usar um valor de confiança herdado para habilitar a renderização confiável. Isso pode levar ao cross-site scripting (XSS) via interação do usuário—uma técnica onde scripts maliciosos são injetados em sites confiáveis—ou ao carregamento de recursos externos selecionados por invasores em aplicações que inserem a saída do KaTeX não sanitizada em uma página. O KaTeX não cria a poluição de protótipo por si só, e a renderização de uma expressão sozinha não executa scripts.

Recomendações Atualizar para a versão 0.18.2.